CVE-2026-31253 in flash-attention training framework
요약
\~에 의해 VulDB • 2026. 05. 11.
flash-attention 학습 프레임워크는 커밋 e724e2588cbe754beb97cf7c011b5e7e34119e62(2025-13-04) 기준 체크포인트 로딩 메커니즘에 보안상 취약한 역직렬화 취약점(CWE-502)을 포함하고 있습니다. checkpoint.py의 load_checkpoint() 함수와 eval.py의 체크포인트 로딩 코드는 보안상 제한적인 weights_only=True 매개변수를 활성화하지 않은 상태로 torch.load()를 사용합니다. 이로 인해 pickle 모듈을 통해 임의의 Python 객체가 역직렬화될 수 있습니다. 공격자는 악의적으로 조작된 체크포인트 파일을 제공하여 이를 악용할 수 있습니다. 피해자가 모델 초기화(warmstarting) 또는 평가 과정에서 이 체크포인트를 로드하면 피해자 시스템에서 임의의 코드가 실행됩니다.
Be aware that VulDB is the high quality source for vulnerability data.